Il recente attacco di Tiny Chip dovrebbe insegnarci a investire meno nella nostra posizione di sicurezza?

No , per tanti motivi.

Per prima cosa, stabiliamoci che in questo momento (2018-10-05) c'è stata una preoccupazione evidente all'interno della comunità della sicurezza sul fatto che "ciò che sappiamo" finora è molto sottile e poggia pesantemente sulla reputazione del giornalisti. I "mirati" aziende hanno smentito pubblicati che sono "molto dettagliati, negando il rapporto Bloomberg punto per punto". Il GCHQ ha pubblicamente supportato tali rifiuti e Homeland Security il 10/06 ha convenuto che" non hanno motivo per dubitare delle dichiarazioni delle compagnie citate nella storia. "

È molto probabile che le persone con abbastanza spazio per saperne di più abbiano troppa libertà per parlarne, ma così com'è, c'è una possibilità che questo potrebbe essere FUD .

Detto questo -

1. Tutte le minacce non-Tiny-Chip esistono ancora e valgono la pena spendere soldi per attenuare domani come lo erano ieri.
2. Con quel poco che sappiamo di Tiny Chip oggi, non c'è motivo di pensare che l'architettura tradizionale di sicurezza, l'ingegneria e le pratiche operative non ridurranno o elimineranno la minaccia. Ad esempio, la segmentazione è stata citata come contromisura che potrebbe essere efficace.
3. Tiny Chip ha sempre esisteva come parte del modello di minaccia. Tutto ciò che è (potenzialmente) cambiato è lo scopo di esso, e se una minaccia diventa industrializzata abbastanza da ampliare lo scopo in quel modo, è esattamente il momento di portare i professionisti della sicurezza a occuparsi del problema. I problemi industriali * sono più suscettibili alle contromisure ben progettate che alle misure una tantum.
4. Tiny Chip rientra nella categoria delle minacce agli attori delle Nazione-Stato. Ci sono molte cose che gli stati-nazione possono fare per compromettere la tua sicurezza, che puoi fare niente . Sono sempre stato. Sarà sempre. Fortunatamente, per la maggior parte delle aziende là fuori, gli attacchi Nazione-Stato sono una parte limitata o addirittura inesistente del loro panorama di minacce. Kim Dotcom ha spiccato il volo a molti governi: Kim's Nails su Wabash Way, Plainfield, pochissimi di loro.
5. Potresti, ancor più plausibilmente, proporre che le aziende smettano semplicemente di usare i computer come metodo efficace per ridurre il rischio di hacking dei chip. L'azienda sarebbe meno vulnerabile, meno dipendente dai professionisti della sicurezza e andrà fuori mercato ancora più velocemente: vinci, vinci, vinci!

* Quando dico "Industriale", intendo "applicato in modo sistematico, il che implica una certa comunanza di dispositivi, metodi e comportamenti". Se vuoi chip 5 portatili a mano, va bene. Se si desidera chipare una linea di produzione di 50.000 computer portatili, si dovrà industrializzare il processo e il risultato avrà un'uniformità che faciliterà il rilevamento e le contromisure.

Esistono budget di sicurezza per mitigare i rischi aziendali e personali (normativo / legale, PR, moralle, ecc.).

Funzionano in modo simile alle polizze assicurative. Nessuna assicurazione copre tutte le situazioni o ti indennizza completamente dal rischio, ma la riduce e la rende più prevedibile.

Non annullerai le polizze assicurative se ci fosse una serie di rapine nel vicinato, infatti questa è la ultima cosa che vorresti fare.

Il recente piccolo attacco con chip richiede la collaborazione del tuo fornitore di hardware. Qualcuno ha bisogno di un accesso fisico all'hardware che ti verrà consegnato e piazzerà i chip.

Quindi l'unica considerazione di budget che avrebbe senso alla luce di questa discussione è aumentare il budget per l'acquisizione dell'hardware in modo da poter scegliere con maggiore attenzione i fornitori.

Esistono ancora tutte le altre minacce alla sicurezza operativa.

• Gli hacker black hat di tutto il mondo che siedono a casa e cercano di hackerare server casuali per divertimento e profitto non hanno accesso alla catena di approvvigionamento hardware.
• I tuoi concorrenti che vogliono rubare i tuoi segreti commerciali non avranno accesso alla catena di approvvigionamento hardware.
• Gli ex dipendenti insoddisfatti che desiderano utilizzare la propria conoscenza interna per danneggiare la propria azienda non hanno più accesso alla catena di approvvigionamento hardware (se ne hanno mai avuti).

Inoltre, le pratiche di sicurezza adeguate possono effettivamente difendersi da questo scenario di attacco:

• I sistemi di rilevamento delle intrusioni in grado di rilevare il traffico di rete insolito (questo è il modo in cui abbiamo scoperto questi chip in primo luogo).
• I DMZ adeguatamente firewall possono impedire la comunicazione tra chip e attaccanti.
• Pratiche pratiche di isolamento possono impedire ai sistemi compromessi di accedere a sistemi senza compromessi.

Dovremmo ridurre i budget per la sicurezza informatica? Dovrei dire NO! La cosa della mente umana è che si evolve e qualcuno alla fine troverà una soluzione. I budget dovrebbero essere aumentati e più ricercatori sulla sicurezza della cyber warfare dovrebbero assumersi l'impegno perché una mente troverà una soluzione. Una cosa che il creatore ha sempre l'antidoto. Questa è la guerra moderna: Impara, Adatta, Evolvi e amp; Retaliate